Le Royaume-Uni permet à 23 millions d'utilisateurs de GOV.UK One Login de se connecter par passkey au lieu du mot de passe et du code SMS

Le Royaume-Uni a ouvert les passkeys à tous les titulaires d'un compte GOV.UK One Login, l'identifiant unique utilisé pour les impôts, la retraite d'État, le renouvellement du permis de conduire et les aides à la garde d'enfants. Depuis le 14 septembre, les plus de 23 millions d'utilisateurs du système peuvent remplacer le mot de passe et le code reçu par SMS par le scan du visage, l'empreinte digitale ou le code PIN qui déverrouillent déjà leur téléphone. Selon le gouvernement, l'essai mené auprès de 300 000 personnes s'est assez bien passé pour que près d'une connexion quotidienne sur dix passe déjà par un passkey, et chacune d'elles économise un SMS : environ 600 livres par jour. Le mot de passe reste possible et, contrairement à l'impression que donne l'annonce, le guide explique bien ce qui se passe quand on perd son téléphone.

Ce qui a changé le 14 septembre

Les passkeys étaient en essai limité depuis l'été ; le Government Digital Service a publié le guide utilisateur le 28 juillet. L'annonce du ministère du Numérique, de la Culture, des Médias et des Sports, qui abrite désormais le GDS, les étend à toute la base d'utilisateurs. La connexion par passkey est « jusqu'à 8 fois plus rapide » qu'avec e-mail, mot de passe et code de vérification en deux étapes, dit le ministère, et la vérification biométrique ou du PIN se fait sur l'appareil : « les informations biométriques ou le PIN utilisés pour déverrouiller un passkey restent sur l'appareil de l'utilisateur et ne sont ni vus ni stockés par GOV.UK One Login ». La ministre du Gouvernement numérique, Stephanie Peacock, a mis en avant le confort avant la lutte contre la fraude : « Personne n'aime chercher un mot de passe oublié ou attendre un code par texto juste pour vérifier sa déclaration d'impôts ou renouveler un document. » Jonathon Ellison, du NCSC, a fourni l'argument de sécurité : « Les cybercriminels cherchent souvent le chemin le plus facile vers les comptes importants, ce qui fait des identifiants une cible fréquente. »

Comment cela fonctionne sur One Login, étape par étape

La mécanique est celle du standard FIDO2 qu'Apple, Google et Microsoft ont intégré à leurs systèmes d'exploitation en 2022. À l'enrôlement, l'appareil génère une paire de clés spécifiquement pour account.gov.uk. La clé publique part chez One Login ; la clé privée reste dans le gestionnaire d'identifiants et n'est libérée qu'après que l'appareil a confirmé que c'est bien vous, par le moyen qui le déverrouille. Un site de hameçonnage sur un domaine imité n'obtient rien, parce que la clé est liée au vrai. Le guide du GDS est précis sur les aspects pratiques.

1. Connectez-vous, ouvrez « Manage your sign in details », trouvez « Set up a passkey », saisissez votre mot de passe, puis suivez l'invite de l'appareil : visage, empreinte ou PIN. Un e-mail vous indique où le passkey a été enregistré.
2. La fois suivante, saisissez votre adresse e-mail et déverrouillez avec l'appareil. Tout appareil partageant le même gestionnaire d'identifiants peut l'utiliser : un passkey d'iPhone fonctionne sur l'iPad.
3. Sur un portable sans passkey, choisissez l'option d'un autre appareil, scannez le QR code avec le téléphone qui le détient, Bluetooth activé des deux côtés, et terminez sur le portable.
4. En cas d'échec, choisissez « Sign in another way » et utilisez le mot de passe et un code de sécurité. Si le téléphone est perdu, connectez-vous avec votre passkey sur un autre appareil ou avec le mot de passe, puis supprimez le passkey perdu dans « Passkeys » et créez-en un nouveau.

Deux lignes du guide méritent une lecture attentive. « Vous ne devriez pas configurer de passkey sur un appareil que vous partagez avec d'autres personnes », parce que quiconque peut le déverrouiller peut s'en servir : l'iPad familial compte. Et le passkey « sera enregistré dans votre gestionnaire de mots de passe », ce qui pour la plupart des gens signifie le nuage d'Apple ou de Google. C'est ce qui rend la récupération indolore après la perte d'un téléphone, et c'est aussi ce qui place un identifiant gouvernemental dans le même compte Apple ou Google que tout le reste. L'inscription sans numéro que prépare Signal prend le parti inverse, avec des clés que l'utilisateur doit garder lui-même ; One Login a choisi la version que la plupart des gens parviendront réellement à utiliser.

Le compte sur lequel on pose ce verrou

One Login a été annoncé en 2020 pour remplacer 190 systèmes de comptes gouvernementaux distincts et 44 méthodes de connexion, et il arrive : le fisc HMRC y a migré après trois ans d'efforts, et c'est l'identifiant derrière l'identité numérique du GOV.UK Wallet que les commerces peuvent désormais accepter. Le bilan du système n'est pas irréprochable. PublicTechnology a rapporté que de hauts responsables du GDS avaient averti qu'il « portait un niveau de risque élevé », que son label officiel d'identité numérique avait expiré pendant neuf mois avant d'être récupéré en février, et que le GDS avait fait appel à un cabinet de sécurité pour un audit de cyber-résilience ; l'achèvement prévu de l'ensemble du programme a été repoussé de trois ans, avec des centaines de millions de livres d'investissement supplémentaire. Rien de tout cela ne plaide contre les passkeys, qui sont l'amélioration de sécurité la moins coûteuse disponible pour un système de cette taille. Cela plaide pour traiter le compte comme ce qu'il devient : la clé unique des relations d'un citoyen avec l'État, qui vaut les deux minutes de l'enrôlement et un regard sur l'appareil et le nuage qui la détiennent désormais.